06 - TAW Segurança da Informação

Prévia do material em texto

Segurança da
Informação
1
• “Segurança da informação é a proteção dos sistemas de
informação 
autorizados,
contra a negação de serviço a usuários 
assim como contra a intrusão, e a
modificação não-autorizada de dados ou informações,
armazenados, em processamento ou em trânsito,
abrangendo a segurança dos recursos humanos, da
documentação e do material, das áreas e instalações das
comunicações e computacional, assim como as
destinadas a prevenir, detectar, deter e documentar
eventuais ameaças a seu desenvolvimento”.
Segurança da Informação
2
(NBR 17999, 2003; Dias, 2000; Wadlow, 2000; Krause e Tipton, 1999).
Segurança da Informação
Proteger SI contra:
3
Negação de Serviço
Intrusão
Modificação não autorizada
Dados
Informações
Armazenados
Em processamento
Em transito
Recursos humanos
Documentação
Material
Áreas e Instalações
Comunicações
Computacionais
Destinadas
Prevenir
Detectar
Deter
Documentar
Eventuais ameaças
Informação
4
• Informação pode existir de muitas formas:
– Impressa ou escrita em papel
– Armazenada eletronicamente
– Transmitida pelo correio ou meios eletrônicos
– Falada em conversas
• Sempre deve ser protegida adequadamente
Classificação das informações
5
• Pública – informação que pode vir a público sem maiores
consequências danosas ao funcionamento normal da
empresa;
• Interna – o acesso a esse tipo de informação deve ser
evitado, embora as consequências do uso não
autorizado não sejam tão sérias;
• Confidencial – informação restrita aos limites da
empresa, cuja divulgação ou perda pode levar a
desequilíbrio operacional, e eventualmente, perdas
financeiras;
• Secreta – informação crítica para as atividades da
empresa, cuja integridade deve ser preservada a
qualquer custo e cujo acesso deve ser restrito a um
número bastante reduzido de pessoas.
Segurança da Informação
6
• Os 4 pilares da Segurança da informação: DICA
• Preservação de: 
Autenticidade
Disponibilidade
Integridade
Confidencialidade
Sistema seguro
7
• DISPONIBILIDADE – Garante que uma
informação estará disponível para acesso
no momento desejado. Diz respeito à
eficácia do sistema, ao correto
funcionamento da rede para que quando a
informação for necessária ela poderá ser
acessada. A perda da disponibilidade se
dá quando se tenta acessar uma
informação e não se consegue o acesso
esperado.
Sistema seguro
8
• INTEGRIDADE: – Garante que o
conteúdo da mensagem não foi alterado
ou violado indevidamente. Ou seja, mede
a exatidão da informação e seus métodos
de modificação, manutenção, validade. Há
perda da integridade quando a
informação é alterada indevidamente ou
quando não se pode garantir que a
informação é a mais atualizada, por
exemplo.
Sistema seguro
9
• CONFIDENCIALIDADE: – Garantir que a
informação só será acessível por pessoas
autorizadas. A principal forma de garantir a
confidencialidade é por meio do controle de acesso
(autenticação), já que este controle garante que o
conteúdo da mensagem somente será acessado por
pessoas autorizadas. A confidencialidade
(privacidade) se dá justamente quando se impede que
pessoas não autorizadas tenham acesso ao conteúdo
da mensagem. Refere-se à proteção da informação
contra a divulgação não permitida. A perda da
confidencialidade se dá quando alguém não
autorizado obtém acesso a recursos/informações.
Sistema seguro
10
• AUTENTICIDADE: – Garante a
identidade de quem está enviando a
informação, ou seja, gera o não-repúdio
que se dá quando há garantia de que o
emissor não poderá se esquivar da
autoria da mensagem (irretratabilidade).
Normalmente não entra como um dos
pilares da segurança da informação, mas
fica aqui para fechar o mnemônico DICA.
Morais da segurança
11
• As portas dos fundos são tão boas quanto as portas da frente.
• Uma corrente é tão forte quanto o seu elo mais fraco.
• Um invasor não tenta transpor as barreiras encontradas, ele
vai ao redor delas buscando o ponto mais vulnerável.
Ameaças
12
• Naturais – Ameaças decorrentes de fenômenos
da natureza, como incêndios naturais,
enchentes, terremotos, tempestades, poluição,
etc.
• Involuntárias – Ameaças inconscientes, quase sempre
causadas pelo desconhecimento. Podem ser causados
por acidentes, erros, falta de energia, etc.
• Voluntárias – Ameaças propositais causadas por
agentes humanos como hackers, invasores, espiões,
ladrões, criadores e disseminadores de vírus de
computador.
Ataques
13
Interceptação
Modificação
Interrupção
Personificação
Ataques
14
Para implementar mecanismos de segurança faz-se necessário
classificar as formas possíveis de ataques em sistemas:
⚫ Interceptação: Acesso a informações por entidades não
autorizadas (violação da privacidade e confidencialidade das
informações).
⚫ Interrupção: Interrupção do fluxo normal das mensagens ao
destino. (Violação da entrega ou da disponibilidade).
⚫ Modificação: Modificação de mensagens por entidades não
autorizadas. (Violação da integridade da mensagem).
⚫ Personificação: A entidade que acessa as informações ou
transmite mensagens passando-se por uma entidade
autêntica. (Violação da autenticidade).
Tipos de Ataques
15
⚫ DoS e DDoS - Negação de serviço - É uma forma de ataque
que pretende impedir o acesso dos usuários a determinados serviços.
⚫ Spam - Mensagens enviadas em massa para listas conseguidas de
maneira ilegal. Podem conter atalhos para páginas maliciosas que
roubam listas de contatos e aumentam o poder de ataque dos
spammers.
⚫ Phishing - É o tipo de fraude por meio da qual um golpista tenta
obter dados pessoais e financeiros de um usuário, pela utilização
combinada de meios técnicos e engenharia social. O phishing ocorre por
meio do envio de mensagens eletrônicas. (Pharming – alteração do
DNS)
⚫ Ataques de força bruta - Busca exaustiva de chave, é um
ataque criptoanalítico que pode, em teoria, ser usado contra quaisquer
dados criptografados (exceto para dados criptografados de uma
maneira segura na teoria da informação).
Tipos de Ataques
16
⚫ Farejamento de pacotes (packet sniffing) - Tipo de
ataque realizado por softwares que capturam pacotes de informações
trocados em uma rede. Se os dados não forem criptografados, os
ofensores podem ter acesso às conversas e outros logs registrados no
computador atacado.
⚫ Malware - Códigos maliciosos (malware) são programas
especificamente desenvolvidos para executar ações danosas e
atividades maliciosas em um computador. Isso inclui vírus, trojans,
worms, rootkits e vários outros arquivos maliciosos.
⚫ Engenharia Social: É o ato de manipular pessoas para conseguir
informações confidenciais sobre brechas de segurança ou mesmo
sobre senhas de acesso a dados importantes.
⚫ Outros
Malware (códigos maliciosos)
17
• Vírus - É um programa ou parte de um programa de
computador, normalmente malicioso, que se propaga inserindo
cópias de si mesmo e se tornando parte de outros programas e
arquivos.
• Worm - É um programa capaz de se propagar
automaticamente pelas redes, enviando cópias de si mesmo de
computador para computador. Diferente do vírus, não se
propaga por meio da inclusão de cópias de si mesmo em outros
programas ou arquivos, mas sim pela execução direta de suas
cópias ou pela exploração automática de vulnerabilidades
existentes em programas instalados em computadores.
• Bots e Botnets - Bot é um programa que dispõe de
mecanismos de comunicação com o invasor que permitem que
ele seja controlado remotamente. Botnet é uma rede formada
por centenas ou milhares de computadores zumbis e que
permite potencializar as ações danosas executadas pelos bots.
Malware (códigos maliciosos)
18
• Spyware – É um programa projetado para monitorar as
atividades de um sistema e enviar as informações coletadas
para terceiros. Pode ser usado de forma legítima ou maliciosa.
• Keylogger - Capaz de capturar e armazenar as teclas
digitadas pelo usuário no teclado do computador.
• Screenlogger - Similar ao keylogger, capaz de
armazenar a posição do cursor e a tela apresentada no
monitor, nos momentosem que o mouse é clicado, ou a
região que circunda a posição onde o mouse é clicado.
• Adware - projetado especificamente para apresentar
propagandas. Pode ser usado para fins legítimos, quando
incorporado a programas e serviços, como forma de
patrocínio ou retorno financeiro para quem desenvolve
programas livres ou presta serviços gratuitos.
Malware (códigos maliciosos)
19
• Backdoor - Traduzindo literalmente, “porta dos fundos”. É
um programa que permite o retorno de um invasor a um
computador comprometido, por meio da inclusão de serviços
criados ou modificados para este fim.
• Cavalos de Tróia - Trojan: e um programa que, além de
executar as funções para as quais foi aparentemente
projetado, também executa outras funções, normalmente
maliciosas, e sem o conhecimento do usuário.
• Rootkit - É um conjunto de programas e técnicas que
permite esconder e assegurar a presença de um invasor ou de
outro código malicioso em um computador comprometido.
Novos desafios para segurança
20
⚫ Tecnologias sem fio
⚫ Dispositivos móveis
⚫ Redes de sensores
⚫ Internet das coisas
⚫ Redes sociais on-line
⚫ Computação em nuvem
O que podemos utilizar para diminuir os riscos?
21
⚫ Educação do usuário
⚫ Antivírus
⚫ Antispyware
⚫ Filtro AntiSpam
⚫ Backup dos Dados
⚫ Criptografia
⚫ Firewall
⚫ Sistemas de Detecção de Intrusão
⚫ Programação segura
⚫ Política de segurança
⚫ Gestão da segurança da informação
Como a segurança pode ser obtida?
22
• Implementando CONTROLES, para garantir que os
objetivos de segurança sejam alcançados.
SI: Técnica X Gestão
23
• A segurança que pode ser alcançada por meios técnicos é
limitada
• Deve ser apoiada por gestão e procedimentos
• Identificação dos controles a serem implantados requer
planejamento cuidadoso e detalhado
• Todos funcionários devem participar, no mínimo
– Talvez fornecedores, clientes, terceiros, etc.
• Consultoria pode ser necessária
• Controles são mais baratos e eficientes quando
implantados em fases iniciais
Tendências da Segurança
24
• Era de ouro do hacking?
• Adoção rápida de novas técnicas e tecnologias,
muitas delas não testadas
• Utilizamos algumas dessas tecnologias para a proteção
da informação
• Grande número de vulnerabilidades
• Informações amplamente disponíveis para o
aprendizado
Tendências – Cenário pessimista
25
• O expertise dos hackers está aumentando
• A sofisticação dos ataques e das ferramentas de ataque
está aumentando
• A efetividade das invasões está aumentando
• O número de invasões está aumentando
• O número de usuários da Internet está aumentando
• A complexidade dos protocolos, das aplicações e da rede está
aumentando
• A complexidade da própria Internet está aumentando
• Existem problemas de projeto na infraestrutura da informação
• O ciclo de desenvolvimento e testes de software está diminuindo
• Softwares com vulnerabilidades, algumas repetidas, continuam
sendo desenvolvidos
Tendências – Cenário otimista
• Desenvolvimento de software com preocupação
com a segurança
• Projetos de rede com preocupação com a
segurança
• Segurança fazendo parte de qualquer aspecto da
tecnologia, assim como a qualidade faz parte de
produtos e processos
26
Recomendações de Filmes
• Jogos de Guerra (1983)
• A Rede (1995)
• Hackers – Piratas de Computador (1995)
• Piratas do Vale do Silício (1999)
• Takedown (2000)
• Freedom Downtime (2001) - Documentário
• A Senha – Swordfish (2001)
• Firewall – Segurança em Risco (2006)
• Duro de Matar 4.0 (2007)
• Rede Social (2010)
• Underground: The Julian Assange Story (2012)
• O Quinto Poder (2013)
• Invasores nenhum sistema está à salvo (2014)
• Jobs (2014)
• Hacker (Black Hat)(2015)
27